为 Secure Web Proxy 配置扩展程序

配置授权扩展程序。

1. 在 YAML 文件中定义扩展程序，将该扩展程序与 request-authz.com 相关联。使用提供的示例值。

   cat >swp-request-authz-extension.yaml <<EOF
   name: my-swp-request-authz-ext
   authority: ext11.com
   loadBalancingScheme: INTERNAL_MANAGED
   service: "request-authz.com"
   forwardHeaders:
     - Authorization
   failOpen: false
   timeout: "0.1s"
   wireFormat: EXT_AUTHZ_GRPC
   EOF
   

   安全 Web 代理扩展程序是区域资源，必须与您的安全 Web 代理实例位于同一区域。

   对于请求授权政策，wireFormat 值可以是 EXT_AUTHZ_GRPC，这样标注就会使用 ext_authz 协议，不过也支持 ext_proc 协议。

   默认情况下，failOpen 设置为 false。如果扩展程序超时或失败，请求处理就会停止。当您优先考虑安全性或完整性而非可用性时，最好使用此默认选项。

2. 导入授权扩展程序。使用 gcloud beta service-extensions authz-extensions import 命令 和以下示例值。

   gcloud beta service-extensions authz-extensions import my-swp-request-authz-ext \
       --source=swp-request-authz-extension.yaml \
       --location=us-west1
   

在同一项目中，使用扩展程序配置授权政策。

对于发送到 example.com/mcp 的任何请求，该政策都要求来自特定主账号的双向 TLS 身份验证，并进一步将授权决策委托给授权扩展程序 my-swp-authz-request-ext。

1. 定义一个授权政策，将 my-swp-authz-request-ext 扩展程序与安全 Web 代理代理 swp-instance1 相关联。使用提供的示例值。

   cat >swp-request-authz-policy.yaml <<EOF
   name: my-swp-request-authz-policy
   target:
     resources:
       - "projects/PROJECT_ID/locations/us-west1/gateways/swp-instance1"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - prefix: "/mcp"
     from:
       sources:
       - principals:
         - principal_selector: CLIENT_CERT_DNS_NAME_SANS
           principal:
             exact: "spiffe://p.global.123.workload.id.goog/ns/ns1/sa/hellomcp"
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
         - "projects/PROJECT_ID/locations/us-west1/authzExtensions/my-swp-request-authz-ext"
   EOF
   

   将 PROJECT_ID 替换为 项目 ID。

   对于请求授权政策，policyProfile 的值必须为 REQUEST_AUTHZ。

   CUSTOM 操作表示扩展程序与代理相关联。

   如需详细了解授权政策资源，请参阅 authzPolicy参考文档。

2. 将授权政策导入到项目中。使用 gcloud beta network-security authz-policies import命令 和以下示例值。

   gcloud beta network-security authz-policies import my-swp-request-authz-policy \
       --source=swp-request-authz-policy.yaml \
       --location=us-west1
   

配置授权扩展程序。

1. 在 YAML 文件中定义扩展程序，将该扩展程序与 content-sdp.com 相关联。使用提供的示例值。

   cat >swp-authz-content-extension.yaml <<EOF
   name: my-swp-content-authz-ext
   authority: ext11.com
   loadBalancingScheme: INTERNAL_MANAGED
   service: "content-sdp.com"
   failOpen: false
   timeout: "0.1s"
   EOF
   

   对于内容授权政策，policyProfile 的值必须为 CONTENT_AUTHZ。

   对于 CONTENT_AUTHZ 政策，无需将 wireFormat 值显式设置为 EXT_PROC_GRPC。默认情况下，标注使用 ext_proc 协议。

2. 导入授权扩展程序。使用 gcloud beta service-extensions authz-extensions import 命令 和以下示例值。

   gcloud beta service-extensions authz-extensions import my-swp-content-authz-ext \
       --source=swp-content-authz-extension.yaml \
       --location=us-west1
   

使用扩展程序配置授权政策。

1. 定义一个授权政策，将扩展程序 my-swp-content-authz-ext 与安全 Web 代理代理 swp-instance1 相关联。使用提供的示例值。

   cat >swp-content-authz-policy.yaml <<EOF
   name: my-swp-content-authz-policy
   target:
     resources:
       - "projects/PROJECT_ID/locations/us-west1/gateways/swp-instance1"
   policyProfile: CONTENT_AUTHZ
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - prefix: "/sensitive-stuff"
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
         - "projects/PROJECT_ID/locations/us-west1/authzExtensions/my-swp-content-authz-ext"
   EOF
   

   对于内容授权政策，policyProfile 的值设置为 CONTENT_AUTHZ。此值表示自定义政策提供程序处理请求和响应流量，包括正文处理。

2. 将授权政策导入到项目中。使用 gcloud beta network-security authz-policies import命令 和以下示例值。

   gcloud beta network-security authz-policies import my-swp-content-authz-policy \
       --source=swp-content-authz-policy.yaml \
       --location=us-west1